تستخدم New Orchard Botnet معلومات حساب مؤسس Bitcoin لإنشاء مجالات ضارة.

تمت ملاحظة الروبوتات الجديدة المسماة Orchard باستخدام معلومات معاملات حساب Satoshi Nakamoto منشئ Bitcoin لإنشاء أسماء المجال لإخفاء البنية التحتية للقيادة والتحكم (C2).

قال باحثون من فريق أمان Netlab في Qihoo 360 في مقال يوم الجمعة: “نظرًا لعدم اليقين في معاملات Bitcoin ، فإن هذه التقنية لا يمكن التنبؤ بها أكثر من استخدام [خوارزميات إنشاء المجال] الشائعة الناتجة عن الوقت ، وبالتالي يصعب الدفاع عنها”. .

يقال إن Orchard قد خضع لثلاثة مراجعات منذ فبراير 2021 ، مع استخدام الروبوتات بشكل أساسي لنشر حمولات إضافية على جهاز الضحية وتنفيذ الأوامر الواردة من خادم C2.

إنه مصمم أيضًا لتحميل معلومات الجهاز والمستخدم بالإضافة إلى إصابة أجهزة تخزين USB لنشر البرامج الضارة. يُظهر تحليل Netlab أن البرامج الضارة استعبدت أكثر من 3000 مضيف حتى الآن ، معظمهم يقع في الصين.

خضعت Orchard أيضًا لتحديثات مهمة خلال أكثر من عام ، يستلزم أحدها تجربة قصيرة مع Golang لتنفيذه ، قبل العودة إلى C ++ في التكرار الثالث.

علاوة على ذلك ، يشتمل الإصدار الأخير على ميزات لإطلاق برنامج تعدين XMRig لصك Monero (XMR) عن طريق إساءة استخدام موارد النظام المخترقة.

تغيير آخر يتعلق باستخدام خوارزمية DGA المستخدمة في الهجمات. بينما يعتمد المتغيران الأولان بشكل حصري على سلاسل التاريخ لإنشاء أسماء المجال ، يستخدم الإصدار الأحدث معلومات الرصيد التي تم الحصول عليها من عنوان محفظة العملة المشفرة “1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa.”

تجدر الإشارة إلى أن عنوان المحفظة هو عنوان استلام مكافأة عامل التعدين من Bitcoin Genesis Block ، والذي حدث في 3 يناير 2009 ، ويعتقد أن ناكاموتو يحتفظ به.

“على مدار العقد الماضي أو نحو ذلك ، تم تحويل كميات صغيرة من عملة البيتكوين إلى هذه المحفظة يوميًا لأسباب مختلفة ، لذلك فهي متغيرة ويصعب التنبؤ بهذا التغيير ، لذلك يمكن أيضًا استخدام معلومات الرصيد لهذه المحفظة وقال الباحثون “مدخلات DGA”.

تأتي هذه النتائج في الوقت الذي قام فيه الباحثون بإزالة البرامج الضارة الناشئة عن إنترنت الأشياء والتي تحمل الاسم الرمزي RapperBot والتي تم رصدها تجبر خوادم SSH على تنفيذ هجمات رفض الخدمة الموزعة (DDoS).